Politique de confidentialité — LeLab.dev

1. Responsable du traitement

La politique historique désignait LeLab.dev, représenté par la personne identifiée dans cette version, comme responsable du traitement et indiquait une adresse de contact.

À confirmer : L'identité et l'adresse exactes restent dans la source historique du 26 juillet 2026 et ne sont pas répétées dans ce brouillon avant confirmation. Le contact affiché par le site SvelteKit est hello@lelab.dev.

2. Ancien formulaire de contact et données

La politique historique indiquait que le formulaire de contact recueillait les données suivantes :

À confirmer : Le formulaire Formspree n’est plus présent dans l’application actuelle. Le site ne collecte plus ces champs via un formulaire ; le lien ouvre le logiciel de messagerie du visiteur. L’ancien document affirmait qu’aucune autre donnée n’était collectée et qu’il n’y avait ni cookie ni mesure d’audience : ces affirmations générales ne décrivent plus les routes API et cookies de session actuels.

• Votre prénom (champ « Votre prénom »).
• Votre adresse e-mail (champ « Votre email »).
• Votre message (champ libre).

• Politique de confidentialité de Formspree (sous-traitant cité par la version historique)

3. Fonctionnalités actuellement présentes dans le code

Ask the Lab : lorsque vous envoyez une question, le serveur transmet le texte saisi et des extraits de sources publiques sélectionnés à OpenAI pour générer une réponse. Ne saisissez pas d’informations personnelles, sensibles ou confidentielles qui ne sont pas nécessaires.

Triage : la simulation dans le navigateur est déterministe et locale. Seule l’action explicite « Analyser avec Laya » transmet le ticket (sujet, texte et paramètres nécessaires à l’analyse) au service Laya par une liaison serveur privée.

Transcription vocale : après votre clic sur Enregistrer, le navigateur capture au plus 16 secondes d’audio. Après arrêt, le fichier est transmis au service Whistle pour transcription. Le texte obtenu est inséré dans le champ pour vérification ; il n’est pas envoyé à Ask/OpenAI avant votre action distincte sur Envoyer.

À confirmer : Ces descriptions portent sur les flux implémentés côté application ; elles ne vérifient ni le déploiement réel des services privés ni les traitements et journaux opérés par les fournisseurs.

4. Finalités et bases légales

Pour l’ancien formulaire, la politique indiquait une réponse à la demande et, le cas échéant, l’organisation d’un échange préalable à une prestation. Elle mentionnait le consentement donné par la case du formulaire, ainsi que l’intérêt légitime à répondre.

Cette description concernait le formulaire qui a été retiré. Les finalités et bases légales applicables aux questions Ask, au triage Laya, à la transcription Whistle, aux quotas et à la prise de contact par e-mail doivent être établies par le responsable avant publication ; la base historique ne leur est pas attribuée automatiquement.

5. Destinataires et sous-traitants

La politique historique indiquait que les messages du formulaire étaient destinés au seul responsable du traitement. Formspree, présenté comme sous-traitant américain, réceptionnait et transmettait les messages.

Pour les fonctionnalités actuelles, OpenAI reçoit le texte des questions Ask et les extraits publics sélectionnés. Laya et Whistle sont appelés côté serveur par des liaisons privées dédiées. Upstash reçoit les données techniques nécessaires aux quotas : des identifiants IP et de session transformés par HMAC et des compteurs temporaires, pas le texte des tickets, questions ou fichiers audio.

À confirmer : Formspree ne fait plus partie du flux de contact actuel. Les contrats, sous-traitants, régions, journaux et durées des fournisseurs actuellement configurés — ainsi que l’hébergeur — restent à vérifier pour le déploiement réel.

6. Transferts hors Union européenne

La politique historique indiquait que Formspree hébergeait les données aux États-Unis et que le transfert s’appuyait sur les clauses contractuelles types de la Commission européenne. Elle indiquait aussi que les infrastructures de Cloudflare pouvaient se trouver hors de l’Union européenne.

À confirmer : Ces indications sont conservées comme déclarations de l’ancienne politique, mais ne démontrent pas les régions ni les garanties applicables aux flux SvelteKit actuels. Confirmer les transferts et mécanismes contractuels d’OpenAI, Laya, Whistle, Upstash et de l’hébergeur avant publication ; aucun test fournisseur n’a été effectué.

7. Cookies et mesure d’audience

L’ancienne politique déclarait qu’aucun cookie ni traceur publicitaire n’était utilisé. Le code actuel dépose des cookies de session HttpOnly et SameSite=Lax pour appliquer les quotas lors de l’utilisation des routes Ask, Triage et Transcription. Ils sont Secure sur HTTPS ; la route de transcription limite son cookie à /api/lab/transcribe.

L’application utilise l’adresse IP de la requête pour limiter les abus ; les identifiants envoyés à Upstash sont transformés en empreintes HMAC. Les paramètres déployés de mesure d’audience, journaux d’accès et outils tiers doivent être vérifiés avant de confirmer l’absence de traceur.

• Ask : lelab_ask_session, durée maximale de 24 heures.
• Triage : lelab_triage_session, durée maximale de 30 jours.
• Transcription : lelab_transcribe_session, durée maximale de 30 jours, chemin /api/lab/transcribe.

8. Conservation

Pour l’ancien formulaire, la politique annonçait une conservation pendant le traitement de la demande — en général la durée de l’échange et un délai raisonnable de suivi — puis une suppression. En l’absence de suite, les messages devaient être effacés au plus tard 12 mois après réception. Cette durée concernait Formspree et ne peut pas être présentée comme la durée actuelle des traitements des démos.

Le code de l’application ne met pas en base les questions, tickets ou fichiers audio et n’écrit pas leur contenu dans ses journaux applicatifs. Les durées de conservation, journaux et régions des fournisseurs, de l’hébergeur et du service Whistle lui-même ne sont pas établis par le dépôt et doivent être confirmés avant publication.

9. Vos droits et réclamation

La politique historique indiquait les droits d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité prévus par le règlement UE 2016/679. Les modalités et le contact auxquels adresser une demande doivent être confirmés par le responsable pour les traitements actuels.

L’ancienne politique indiquait une adresse de contact ; le site actuel affiche hello@lelab.dev. Vous pouvez également introduire une réclamation auprès de la CNIL.

À confirmer : Les droits historiquement publiés sont conservés. Confirmer l’adresse, le canal et le délai de réponse avant validation de cette version.

• hello@lelab.dev
• Déposer une plainte auprès de la CNIL